Henk J. de Vries Overheid,mis de aansluiting niet! 368
De toekomst van Nederland kent een open deur. Die luidt simpel: Nederland is géén eiland. Dus juist op het gebied van informatie- en communicatietechnologie (ict) komen veel normen in Europees of mondiaal werkende organisaties tot stand. Ze negeren is niet mogelijk, ze beïnvloeden kan mogelijk zijn. Voor overheidsinformatiesystemen zijn normen nodig in alle gevallen dat zo n systeem geen eiland is, maar verbonden moet zijn met andere systemen. Of wellicht is die verbinding nu nog niet nodig, maar in de toekomst wel, zoals Randstadrail inmiddels de tram- en metrosystemen van Den Haag en Rotterdam heeft verbonden. Naast systemen die alleen verbindingen hebben binnen de overheid zelf zijn er ook systemen die verbindingen hebben met burgers en/of bedrijven of andere organisaties. Vermoedelijk geldt dat zelfs voor de meeste systemen; de overheid is er immers niet voor zichzelf. Die private organisaties kunnen problemen ondervinden wanneer verschillende overheidsinstanties verschillende specificaties hanteren. Want dat geeft extra administratieve lastendruk, als er al verbinding mogelijk is. Voor de overheid als gebruiker van normen is allereerst bewustzijn nodig dat deze normen er zijn en dat je er verstandig aan zou kunnen doen om ze toe te passen, en vervolgens is kennis nodig om de goede keus te maken. Interoperabele wereld: zomaar wat voorbeelden In mijn eerste baan als geodetisch ingenieur, 1982-1983, heb ik onderzoek gedaan naar de mogelijkheden om vijf bestanden met liggingsgegevens van topografie aan elkaar te koppelen. Dit waren bestanden van Kadaster, gemeenten en leidingenbeheerders. Koppeling van gegevensbestanden zou veel geld kunnen besparen, bij het verzamelen van de gegevens maar vooral in het gebruik van de bestanden, bijvoorbeeld door onderhoud aan leidingen en wegen met elkaar te combineren. Echter, koppelen van deze bestanden was niet eenvoudig, omdat ze allemaal op een verschillende manier tot stand waren gekomen. Met metingen op de grond of ook met metingen vanuit de lucht. Met verschillen in de nauwkeurigheid van de metingen. Maar ook met verschillende definities. Bijvoorbeeld, wat is een gebouw? Het belangrijkste gemeenschappelijke element in de vijf bestanden waren de liggingsgegevens van gebouwen. Maar daar bleken belangrijke verschillen te bestaan. Is een houten schuur, of een kas, een gebouw? Hoort een carport wel of niet bij een huis? En wat zijn de afmetingen van een huis wanneer dit een dakgoot heeft die uitsteekt ten opzichte van de gevel? Dit zijn verschillen in de inhoud van gegevens en die maken het lastig de bestanden te combineren. Een ander punt zijn de technische specificaties van de gegevensbestanden. Maken die uitwisseling mogelijk? Zo nee, wie bepaalt volgens welke specificaties gewerkt gaat worden? Willen de verschillende partijen dat eigenlijk wel? Zulke afspraken betekenen ook veranderingen en die zijn dikwijls niet eenvoudig en soms zelfs bedreigend. En stel dat het lukt om samen afspraken te maken en die vast te leggen in een norm, zijn er dan ook leveranciers die conform deze normen kunnen of willen leveren? Inmiddels zijn we dertig jaar verder. Technisch is er nu veel meer mogelijk. In de onderlinge afstemming tussen overheden, semi-overheden en private partijen is het nodige verbeterd, maar we zijn er nog niet. Bovendien, nieuwe mogelijkheden kunnen ook weer tot nieuwe problemen leiden. De bestanden met technische gegevens van de Betuwelijn zijn nu al niet meer te openen, laat staan wat dat voor moeilijkheden kan geven over een x aantal jaren wanneer er meer onderhoud nodig is. Elke aannemer heeft op zijn eigen wijze iets aangeleverd en de Projectorganisatie voor de Betuwelijn heeft verzuimd een bepaald format voor te schrijven. En stel dat ze dat wel had 369
gedaan, dan was de vraag: welk format dan? Wat is een goede keuze? En moeten die aannemers, als ze in een ànder project voor een andere overheidsorganisatie of voor een private opdrachtgever werken, weer een ànder format hanteren? Nog een voorbeeld: rekeningrijden. Aanvankelijk was vergeten dat voor dit project technische normen van belang zijn. Maar er moet een signaal worden overgebracht tussen een kastje in de auto en een satelliet, en uiteindelijk moet de informatie over het rijgedrag naar de Belastingdienst gaan en moet betaling tussen automobilist en Belastingdienst worden geregeld. Deze activiteit is dan bovendien nog uitbesteed aan private partijen. Dus zijn er technische normen nodig voor interoperabiliteit, maar zeker niet alléén zulke normen. Als de inning van belastinggeld is uit besteed aan private partijen, moeten er tevens strenge eisen zijn aan de kwaliteit en de betrouwbaarheid van het gegevensverkeer, en aan de organisaties aan wie wordt uitbesteed. Voor dit alles zijn normen nodig. Bovendien, Nederland is toch geen eiland?! Als auto s de grens passeren kunnen ze te maken krijgen met vergelijkbare buitenlandse systemen en buitenlandse automobilisten die Nederland binnenrijden moeten eveneens kunnen betalen. Er is dus, bekeken vanuit de aard van de materie, behoefte aan normen op Europees of zelfs mondiaal niveau. Dergelijke normen bleken ook inderdaad in ontwikkeling te zijn, maar ze waren nog niet af. Dan is de vraag: volgens welke specificaties moet het Nederlandse systeem worden gebouwd? Maar als dat gedeeltelijk volgens eigen specificaties gebeurt, is er dan het risico dat na enkele jaren de Europese normen anders zijn geworden en dat het Nederlandse systeem niet compatibel is met buitenlandse systemen? Of kan Nederland het proces van totstandkoming van die normen zó beïnvloeden dat de normen overeen zullen komen met de Nederlandse specificaties? Ondertussen heeft de politiek dit project in de ijskast gezet, maar de ontwikkeling van Europese normen gaat door. Dus mocht een volgend kabinet de draad weer oppakken, dan hebben wij ons te conformeren aan normen die door anderen zijn bepaald, op straffe van incompatibiliteit. Vanwege de relatie van de systemen van de overheid met die van andere partijen ga ik in het vervolg eerst nog wat verder in op het strategische belang voor Nederland van afstemming tussen dergelijke systemen. Vervolgens probeer ik een beeld te schetsen van een gewenste situatie die van interoperabiliteit tussen systemen en van wat daarvoor nodig is. Tot besluit ga ik in op wat ervoor nodig is om zover te komen. Belang van interoperabiliteit: Nederland als hub Code-sharing (gezamenlijke vluchtnummers) tussen KLM en Northwest Airlines heeft gemaakt dat vluchten van deze maatschappijen in het systeem als één vlucht werden gezien en automatisch vaker werden geselecteerd, waardoor KLM flink meer passagiers kreeg. Het groeiende aantal passa giers op KLM-thuishaven Schiphol trok weer andere maatschappijen aan en zo kon Schiphol uitgroeien tot een hub: heel veel vluchten van en naar Schiphol, Schiphol als een handige plek om over te stappen. Zo kunnen ogenschijnlijk kleine technische afspraken een enorme impact hebben voor de toekomst van Nederland als hubland: een land dat weliswaar klein is, maar dat zich als een spin in het web van een groot netwerk bevindt. Er is alleen een hub als veel lijnen van het netwerk op één plek samenkomen. Die lijnen kunnen onderling verschillend zijn, maar op zijn minst in de hub moeten ze aan elkaar geknoopt kunnen worden. Daarvoor zijn technische normen nodig, maar ook bijvoorbeeld normen voor de kwaliteit van de dienstverlening in het netwerk. Uit een recente verkenning van de Stichting Toekomstbeeld der Techniek blijkt dat Nederland om hub te zijn en blijven, en om in netwerken de regisseursrol te kunnen spelen, consequent bepaalde 370
normen moet toepassen en ook de leiding moeten nemen bij de ontwikkeling van nieuw normen. Kunnen we dat laatste als klein landje? Er zijn goede voorbeelden te noemen. Zo zijn de Europese normen voor bodemsanering grotendeels gebaseerd op Nederlandse normen, wat Nederlandse bedrijven een voorsprong heeft gegeven op de Europese markt. Ook de Europese normen voor tuinbouwkassen komen uit Nederland. Op het gebied van normen voor gas en gasinstallaties speelt Nederland al jaren een actieve rol, wat de kansen vergroot dat Nederland een gashub (gasrotonde) kan worden. In elke hub zijn informatiesystemen belangrijk en die moeten onderling kunnen worden verbonden. Vaak is ook de overheid daarbij een partij. De Rotterdamse Haven is daar een voorbeeld van. Als grootste haven in Europa vormt Rotterdam een hub op het gebied van goederentransport. De Douane en het Havenbedrijf spelen hierbij een belangrijke rol. Via Portbase is het informatieverkeer tussen havenbedrijven en Douane vergemakkelijkt. Maar met betere informatiesystemen valt strategisch nog veel meer te doen. Technisch is het ondertussen mogelijk de fysieke stroom van goederen te koppelen aan de informatiestroom en daardoor zijn hele nieuwe vormen van regie van het goederentransport mogelijk geworden. Die mogelijkheden worden echter nog nauwelijks benut. Gaat Nederland met Rotterdam daarin een voortrekkersrol spelen? Wie neemt dan het initiatief? Volgens welke normen gaan dan de interfaces tussen de verschillende systemen worden ontworpen? Wie bepaalt die normen? De overheid heeft miljarden gestoken in de aanleg van de fysieke infrastructuur (Betuwelijn, Tweede Maasvlakte) om deze hubfunctie van Rotterdam fysiek mogelijk te maken, maar is er nu ook geld voor de parallelle infrastructuur die hiervoor eveneens nodig is, op ict-gebied? Normen nodig Of het nu voor dergelijke grote hub-projecten is, of simpel voor het elektronisch gemeenteloket in Delfzijl of Terneuzen, de overheid, maar ook burgers, bedrijven en andere partijen hebben behoefte aan informatieverkeer dat gladjes verloopt, zonder onnodig opnieuw invoeren van dezelfde gegevens, gebruiksvriendelijk en met bescherming van persoonlijke informatie. Daarvoor zijn normen nodig: voor interoperabiliteit, kwaliteit, en informatiebeveiliging. Wie voor de keus staat te investeren in informatiesystemen, heeft het probleem dat hij kan kiezen tussen een veelheid van aanbieders die veelal hun eigen specificaties hanteren. Zelfs als hij aangeeft dat die specificaties in elk geval in lijn moeten zijn met de lijsten met open standaarden van Forum en College Standaardisatie, is interoperabiliteit nog niet verzekerd. Aanbieders kunnen af wijkende oplossingen hebben, of verschillende interpretaties van de norm gebruiken, of de lijst van normen is incompleet. Uit een recente inventarisatie in vijfendertig landen door Microsoft blijkt bovendien dat de voorkeurslijsten per land verschillen. Zo maken overheden het de leveranciers ook niet gemakkelijk. De geschiedenis van het OSI-model, ontwikkeld als raamwerk voor normen voor interoperabiliteit tussen computersystemen, laat dit zien: te weinig leveranciers kwamen met producten die aan de internationale normen voldeden, en daardoor werd het geen succes, hoe goed het model op zich ook was. Gebruikers alle landen verenigt u Deze geschiedenis laat zien, dat een sterke gebruikersstem nodig is. Zelfs als het in Nederland zou lukken dat de overheid, als grootste gebruiker van informatiesystemen, de krachten bundelt met andere gebruikers zoals consumenten(organisaties) en bedrijven (en hun organisaties, zoals VNO- 371
NCW en MKB-Nederland), dan nog is het haast ondoenlijk om een vuist te maken tegenover leveranciers en af te dwingen dat die bepaalde normen gebruiken. Afwijkende specificaties voorschrijven kan, maar maakt de systemen onnodig duur. Daarom is internationale samenwerking wenselijk. Als de overheden in de door Microsoft onderzochte landen hun wensen meer op elkaar afstemmen, is de kans alweer veel groter dat de leveranciers aan die wensen tegemoet zullen komen. Deelname aan normontwikkeling Een stap verder is het als normgebruikers niet alleen de juiste normen uitkiezen, maar ook actief bij de ontwikkeling van die normen betrokken zijn. Dat is niet eenvoudig. Er zijn honderden consortia en normalisatie-instituten die normen maken die voor informatiesystemen relevant zijn. Enkele hiervan zijn niet open voor deelname door gebruikers. De meeste zijn dat wel. Maar aan welke dan deelnemen? En wie neemt deel? Valt de investering in tijd en geld te rechtvaardigen? Wel voor een leverancier die door deelname het proces zo probeert te beïnvloeden dat zijn producten meer succes krijgen op de markt. Meestal niet voor een organisatie die normen wil gebruiken, maar die dan in feite ook voor andere gebruikers die investering doet. Bovendien is het nog de vraag of de gebruiker de benodigde technische expertise heeft. De oplossing kan dan zijn dat een organisatie namens de gebruikers deelneemt. Die organisatie kan de expertise in huis halen. Succes staat of valt dan met het contact met de achterban: de echte normgebruikers. Overheidstaak? Moet de overheid zich met deze ontwikkelingen bezighouden? Er moet flink worden bezuinigd, dus waarom niet stoppen met het financieren van Nederland Open in Verbinding (NOiV)? Hierboven is betoogd dat in feite de overheid slechts een gebruiker van normen is, naast andere gebruikers. Ook al is de overheid de grootste gebruiker, dit hoeft dan nog niet te rechtvaardigen dat zij normen gaat uitzoeken of ook mee-ontwikkelen en/of voorschrijven. Wel zou de overheid als belangrijke gebruiker een deel van de activiteiten voor haar rekening kunnen nemen en ook een deel van de kosten betalen. Toch valt er meer over te zeggen. Er wordt wel gesproken over de elektronische snelweg. We vinden het normaal dat de overheid zorgdraagt voor onze snelwegen, omdat het gaat om essentiële infrastructuur. Wegen maken de verbinding mogelijk tussen mensen onderling, en met vestigingen van organisaties. Hetzelfde geldt voor informatieverkeer. Is het dan wellicht toch een overheidstaak om te zorgen dat de verbindingen mogelijk blijven? En dan niet alleen binnen de overheid en tussen de overheid en haar buitenwereld (burgers, bedrijven en dergelijke), maar ook in die buitenwereld? De vraag zo stellen is hem beantwoorden. Maar dan is de volgende vraag: hoe dan? Er blijken voor verschillende infrastructuren verschillende organisatiemodellen te bestaan. Organisatiemodellen voor infrastructuur Om met de weginfrastructuur te beginnen: bijna alle wegen worden gemaakt in opdracht van de overheid (rijk, provincie, gemeente of waterschap). De overheid bepaalt wàt zij wil hebben (bestemming), zij schrijft voor hoe zij het wil hebben, en de private aannemer voert uit. Beheer en onderhoud gebeuren door de overheid zelf, of worden uitbesteed. De overheid heeft zelf veel kennis in huis, maar er is een tendens om meer aan de markt over te laten: minder gedetailleerd specificeren en ook onderhoud meer door bedrijven laten doen. 372
Gebruikers van de infrastructuur automobilisten betalen mee. Bij waterbeheer heeft Nederland de unieke constructie van een aparte, gespecialiseerde overheid: het waterschap. Met eigen belas tingen, een eigen vorm van democratie, en ook eigen verantwoordelijkheden voor de ingelanden, zoals de schouwplicht. Het poldermodel in optima forma: samen zorgen voor goed waterbeheer. Bij andere infra structuren, zoals telecommunicatie, post, gas, elektriciteit en openbaar vervoer, hebben we de afgelopen jaren een ontwikkeling gezien naar meer marktwerking. Staatsbedrijven, semi-staatsbedrijven of bedrijven waarin regionale of gemeentelijke overheden het voor het zeggen hadden zijn geprivatiseerd of gesplitst in een publiek en een privaat deel. Voor de gebruiker is dat in de meeste gevallen geen verbetering geweest. De kwaliteit en snelheid van postbezorging is inmiddels slechter dan in 1930. Nederland had de meest betrouwbare elektriciteitsvoorziening van de wereld, maar die is prijsgegeven. De problemen met de OV-chipkaart zijn meer dan kinderziektes. De les die valt te leren is dat aanleg en onderhoud van infrastructuur voor een groot deel door private partijen kan worden gedaan, maar dat een publieke organisatie nodig is om op zijn minst de onderlinge afstemming van de onderdelen van het netwerk te regelen en de kwaliteit ervan te bewaken. En dat is nu precies waar normen voor nodig zijn. Zo bezien is er dus een belangrijke rol weggelegd voor de overheid om te zorgen dat informatiesystemen onderling goed kunnen worden verbonden. Hoe moet de overheid dit dan doen? Moet zij de technische keuzes gaan maken? Komen we zo niet terecht in een planeconomie? De Sovjetunie is economisch ingestort en China moest wel meer ruimte geven aan de vrije markt omdat Taiwan zoveel beter presteerde. Ook de Europese Unie heeft wat dat betreft lessen geleerd: de oude aanpak van wettelijk voorgeschreven productveiligheidseisen is grotendeels vervangen door een nieuwe aanpak waarbij Europese Richtlijnen (wetten op Europees niveau die qua inhoud moeten worden overgenomen in de nationale wetgeving) alleen globaal geformuleerde essentiële eisen bevatten, die worden uitgewerkt in meer gedetailleerde eisen en meetmethoden, vastgelegd in Europese normen. Die normen worden opgesteld in commissies van (meestal) private normalisatie-organisaties die openstaan voor deelname door alle belanghebbende groeperingen. Dit model is ook denkbaar voor de ict-infrastructuur: regel wettelijk dat er normen voor interoperabiliteit, kwaliteit en informatiebeveiliging moeten komen, maar laat het aan marktpartijen over om die normen te maken. Nu valt te zeggen: die normen worden al gemaakt en het probleem is juist dat er te veel zijn. Binnen de EU is er echter de mogelijkheid de normen meer expliciet te koppelen aan wetgeving en dan wordt automatisch de keuze beperkt tot normen die via de officiële Europese normalisatieorganisaties CEN, CENELEC en ETSI zijn opgesteld. Die beperking is wenselijk om chaos te voorkomen. De huidige realiteit is echter, dat veel normen in consortia worden gemaakt, en dan zijn spelregels nodig om dergelijke normen te kunnen invoegen in het Europese normensysteem. De Europese commissie heeft onlangs plannen bekendgemaakt die inderdaad in deze richting gaan. Dit systeem werkt uiteraard alleen goed als de Europese normalisatiecommissies inderdaad passende normen maken. Dat is helaas niet altijd het geval. Om het voorbeeld van rekeningrijden opnieuw te nemen: hier heeft de Europese Commissie gevraagd aan het Europese normalisatie-instituut CEN om normen op te stellen die aansluiten bij algemene eisen voor interoperabiliteit opgesteld door de Europese Commissie. CEN was zelf al op dit gebied bezig en is met te weinig sturing verder gegaan. Daardoor sluit het pakket normen niet goed aan op de eisen van de Europese Commissie en biedt het ook geen samenhangend pakket specificaties voor rekeningrijden. Wat dat betreft is het wellicht zelfs goed dat het Nederlandse project even in de ijskast is gezet: het was (te) moeilijk om de specificaties te bepalen. 373
Dit laat zien dat er voor een concrete toepassing een samenhangende set normen nodig is. In feite: een architectuur van normen die samenhangt met de architectuur van zowel de technologie als de toepassing. Normalisatietheorie leert dat het ontwerpen van een goede architectuur ook flexibiliteit in de toekomst geeft: hoe beter het ontwerp van de architectuur, des te eenvoudiger is het om innovaties toe te passen zonder daarmee het bestaande systeem aan te tasten. In veel gevallen zijn de bovenste lagen in de architectuur, die van de toepassing, nationaal, terwijl de onderste, die van de technologie, internationaal zijn (de aanbieders zijn in veel gevallen buitenlandse bedrijven). Een tweede les die kan worden getrokken is dat leveranciers moeten willen investeren in de technologie en in de toepassing. En de vraag is of zij zich werkelijk op de wensen van de gebruiker willen richten. Er is daarom nog een volgende stap nodig is: een beslissing van de gezamenlijke normgebruikers of de ontwikkelde normen of liever: de architectuur aan normen inderdaad goed genoeg zijn voor gebruik. Dit is wat het Forum en College Standaardisatie en Nederland Open in Verbinding de afgelopen jaren hebben opgebouwd in Nederland, maar dat zou dan ook op het niveau van de Europese Unie moeten gebeuren. Een organisatie Europa Open in Verbinding (EOiV) zou dan moeten worden gevoed vanuit nationale organisaties zoals NOiV, met financiering respectievelijk door de Europese Unie en de landelijke overheden. In NOiV zouden dan alle gebruikers moeten kunnen deelnemen, van de overheid en daarbuiten. De normen zelf kunnen vrijwillig blijven: toepassing is niet verplicht, maar ze kunnen in een bestek worden voorgeschreven. Het al door NOiV toegepaste pas toe of leg uit (hanteer de normen tenzij er goede argumenten zijn om dat toch niet te doen) verdient navolging. Het is een beproefde methode, die ook bij de nieuwe aanpak wordt gebruikt. Het leidt tot voorkeursnormen. Onderwijs en onderzoek Als het bovenstaande wordt gerealiseerd, gaat het dan goed? Dat valt nog te bezien. Degenen die beslissen over informatiesystemen moeten wel weten dat de voorkeursnormen er zijn en waarom deze belangrijk zijn. Daar zal een bewustwordingscampagne voor nodig zijn. En degenen die er echt mee moeten werken zullen bijscholing nodig hebben. Verder moet dit thema worden ingebed in het regulier onderwijs. Zoals een scholier/student bouwkunde leert dat een huis aan normen moet voldoen (door de minister aangewezen in het Bouwbesluit) omdat er anders geen vergunning verleend wordt, zo zullen ook scholieren/studenten op het gebied van informatica en telecommu nicatie dit moeten leren. De leden van de projectteams van de Hogesnelheidslijn en de Betuweroute hadden kennelijk op school iets gemist. En in feite is de noodzaak tot scholing nog breder, omdat informatiesystemen in allerlei toepassingsgebieden worden gebruikt, van bruggenbouw tot energievoorziening en van procesbesturing tot ziekenhuizen. Dat betekent dat normen al op de middelbare school aandacht zouden moeten krijgen. Tot nu toe gebeurt dat alleen systematisch in Turkije en Thailand. Andere Aziatische landen zoals Zuid-Korea en Indonesië zetten eveneens stappen in deze richting. Op universitair niveau loopt Zuid-Korea voorop, gevolgd door Japan, China en Indonesië. Ook Maleisië gaat nu flink aan de slag. Inderdaad, allemaal in Azië en dat is op zich tekenend. Inmiddels bijna alle landen in Oost- en Zuidoost-Azië investeren in onderwijs over normen en normalisatie omdat ze snappen hoe belangrijk normen zijn voor een moderne samenleving en omdat ze hiermee het nationale bedrijfsleven willen ondersteunen. Hier heeft Nederland nog een forse slag te maken. We hebben de kennis in huis, maar onze zwakte is dat we al die kennis onvoldoende benutten. Uit onderzoek blijkt dat goed opgeleide individuen in het internationale overleg over standaarden de ontwikkeling sterk kunnen beïnvloeden of zelfs naar hun hand kunnen zetten. Zou Nederland de aanwezige kennis 374
beter gebruiken, dan kunnen we op veel gebieden internationaal de regie voeren. Daar is scholing en training voor nodig van degenen die internationaal meespelen. De Aziatische landen besteden ook in toenemende mate aandacht aan onderzoek naar normalisatie, om de kennis te kunnen onderbouwen. Opnieuw loopt Zuid-Korea voorop, gevolgd door Japan en China. Maar Nederland speelt eveneens een voorhoederol in normalisatieonderzoek. Die kennis kan echter nog beter worden benut en extra onderzoek is wenselijk, ook om de effecten van bestaand en nieuw beleid te evalueren. En onderzoek om voor speerpuntgebieden een normen architectuur te maken en om de ontwikkeling van hubfuncties te ondersteunen. Conformiteitsbeoordeling De parallel met bouwvergunningen voor huizen laat zien dat het niet alleen gaat om normen, maar ook om toetsing of aan normen wordt voldaan. De afdeling Bouw- en woningtoezicht van de gemeente toetst of het ontwerp voldoet aan de eisen. Vervolgens kan er ook nog tijdens het bouwproces toezicht zijn, maar dat laat soms te wensen over. De koper kan desgewenst via de consumentenorganisatie Vereniging Eigen Huis een opleveringskeuring laten uitvoeren. Toetsing van informatiesystemen op conformiteit met normen zou een overheidsverantwoordelijkheid kunnen worden als het gaat om essentiële onderdelen van de informatiestructuur. Aan vullend kan degene die een systeem laat maken via de systeemgebruikersorganisatie desgewenst een opleveringskeuring vragen. Ook uit oogpunt van aansprakelijkheid is een en ander van belang: wie valt iets te verwijten mocht het systeem onverhoopt toch niet interoperabel zijn? Omdat het lastig en kostbaar is om alles te toetsen is ook de self-declaration of conformity een bruikbaar alternatief: de leverancier verklaart zelf aan welke normen hij voldoet, en is daarop (ook juridisch) aanspreekbaar. Conclusies Informatiesystemen zijn essentieel in een moderne samenleving. Ze behoren tot de infrastructuur ervan en zijn bovendien van nationaal-strategisch belang. Daarom ligt er een overheidstaak in het bewaren van de interoperabiliteit en kwaliteit van de systemen en de informatiebeveiliging. Hiervoor zijn normen nodig. Die zijn er, maar eerder te veel dan te weinig. Dat maakt kiezen van een voorkeursassortiment aan normen en een normenarchitectuur voor belangrijke toepassingsgebieden wenselijk. De keuze kan gebaseerd zijn op zowel de wijze van totstandkoming als de kwaliteit van de norminhoud. De Europese Nieuwe Aanpak kan worden uitgebreid naar normen die essentieel zijn voor de informatieinfrastructuur. De wetgever wijst dan een voorkeursset normen aan, maar op basis van goede argumenten mag daar ook van worden afgeweken. Omdat het normalisatieproces niet altijd de goede set normen oplevert, is een gebruikerstoets aan het eind nodig. Daarvoor zijn normgebruikersorganisaties nodig op Europees en nationaal niveau. Vervolgens is ook conformiteitstoetsing nodig om te kunnen constateren of inderdaad de goede normen worden toegepast. En een promotiecampagne en onderwijs moeten gebruikers bewust en vaardig maken om inderdaad de weg naar betere informatiesystemen in te slaan. Henk J. de Vries is universitair hoofddocent Standaardisatie en Normalisatie aan de Rotterdam School of Management, Erasmus University. Onderzoekt standaardisatie en normalisatie vanuit de optiek van het belang ervan voor bedrijven. Onderscheiden door de International Organization for Standardization (ISO) voor het beste normalisatie-onderwijs in de wereld. President van de 375
European Academy for Standardisation EURAS. Vice-chair van de International Cooperation for Education about Standardization (ICES). Special adviser van de International Federation of Standards Users (IFAN). Zie ook http://www.rsm.nl/is, http://www.rsm.nl/standardisation en http://www.rsm.nl/hdevries. 376
377